خاتمه SSL به HAProxy در اوبونتو 14.04 اضافه کنید

• الزامات
• تولید گواهی و کلید خصوصی
• HAProxy را پیکربندی کنید

این مقاله شما را از طریق تنظیم خاتمه SSL در HAProxy ، برای رمزگذاری ترافیک از طریق HTTPS دنبال می کند. ما برای گواهینامه جدید از گواهی SSL خود امضا شده استفاده خواهیم کرد. فرض بر این است که شما در حال حاضر HAProxy را با یک ظاهر HTTP استاندارد نصب و پیکربندی کرده اید.

الزامات

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (باید روی نسخه ها و توزیع های دیگر کار کند)

تولید گواهی و کلید خصوصی

برای تولید یک کلید خصوصی و یک گواهی خود امضا شده که با HAProxy کار خواهد کرد ، خطوط زیر کد را اجرا کنید.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

HAProxy را پیکربندی کنید

اولین کاری که باید انجام دهید این است که از غیرفعال بودن SSLv3 اطمینان حاصل کنید. به دلیل حمله POODLE ، SSLv3 دیگر ایمن در نظر گرفته نمی شود. کلیه برنامه ها و سرورها باید از TLS 1.0 و بالاتر استفاده کنند. با استفاده از ویرایشگر متن مورد علاقه خود ، پرونده را باز کنید /etc/haproxy/haproxy.cfg. در داخل ، به دنبال خط ssl-default-bind-options no-sslv3زیر globalبخش باشید. اگر آن را مشاهده نکردید ، قبل از defaultsبخش ، آن خط را در انتهای بخش اضافه کنید. این امر باعث می شود SSLv3 در سطح جهان غیرفعال شود. همچنین می توانید آن را در قسمت های جلویی خود تنظیم کنید ، اما توصیه می شود آن را در سطح جهانی غیرفعال کنید.

از راه اندازی HTTPS. یک قسمت جلوی جدید با نام ایجاد کنید web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

توضیح دادن:

• bind public_ip:443(تغییر public_ipدر IP عمومی VPS) به HAProxy می گوید به هر درخواستی که به آدرس IP در پورت ارسال شده 443(درگاه HTTPS) ارسال شده گوش دهد.
• ssl crt /etc/ssl/certs/server.bundle.pem به HAProxy می گوید از گواهی SSL که قبلاً تولید شده است استفاده کند.
• reqadd X-Forwarded-Proto:\ https هدر HTTPS را به انتهای درخواست ورودی اضافه می کند.
• rspadd Strict-Transport-Security:\ max-age=31536000 یک سیاست امنیتی برای جلوگیری از حملات نزولی.

نیازی به تغییر اضافی در بخش باطن خود نیست.

اگر می خواهید HAProxy بصورت پیش فرض از HTTPS استفاده کند ، redirect scheme https if !{ ssl_fc }به ابتدای www-backendبخش اضافه کنید. با این کار مجدد HTTPS را مجبور خواهید کرد.

پیکربندی خود را ذخیره کنید و service haproxy restartبرای راه اندازی مجدد HAPRoxy را اجرا کنید . اکنون همه شما آماده استفاده از HAProxy با نقطه پایانی SSL هستید.